Quem é a pessoa que conectou (OIDC UserInfo).

Devolve o identificador opaco e estável da pessoa (sub) e, só se a conexão pediu o escopo email, o e-mail e se ele foi confirmado (email_verified, falso enquanto não houver confirmação). Autentica com o token de acesso do conector no cabeçalho Authorization: Bearer, nunca na URL. Um token sem openid, como o das conexões antigas, também recebe 200, só com sub. A chave de API criada à mão não tem pessoa por trás e não serve aqui. O POST responde igual. Não dá acesso a dado nenhum do escritório.